Covered by FixVibecritical

ЗКСЦВФИКСВИБЕСЕГ0 Убацивање критичне ОС команде у ЛибреНМС (ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ) ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ1 ЛибреНМС верзије <= 24.9.1 су рањиве на убризгавање команди са потврђеном аутентичношћу (ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ). ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ2 ЛибреНМС верзије до 24.9.1 садрже критичну рањивост убризгавања команди ОС (ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ). Аутентификовани нападачи могу да изврше произвољне команде на систему домаћина, што потенцијално доводи до потпуног угрожавања инфраструктуре за надзор. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ3 ## Импацт ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ4 ЛибреНМС верзије 24.9.1 и старије садрже рањивост која омогућава аутентификованим корисницима да изврше ињекцију ОС команде ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Успешна експлоатација омогућава извршавање произвољних команди са привилегијама корисника веб сервера ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. Ово може довести до потпуног компромитовања система, неовлашћеног приступа осетљивим подацима надгледања и потенцијалног бочног померања унутар мрежне инфраструктуре којом управља ЛибреНМС ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ5 ## Основни узрок ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ6 Рањивост је укорењена у неправилној неутрализацији уноса који је доставио корисник пре него што се угради у команду оперативног система ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Ова грешка је класификована као ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. У погођеним верзијама, одређене крајње тачке са аутентификацијом не успевају да адекватно провере или санирају параметре пре него што их проследе извршним функцијама на нивоу система ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ7 ## Ремедијација ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ8 Корисници би требало да надограде своју ЛибреНМС инсталацију на верзију 24.10.0 или новију да би решили овај проблем ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Као општа најбоља безбедносна пракса, приступ ЛибреНМС административном интерфејсу треба да буде ограничен на поуздане сегменте мреже помоћу заштитних зидова или листа контроле приступа (АЦЛ) ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ9 ## Како ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ тестира за то ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ10 ЗКСЦВФИКСВИБЕТОКЕН4ЗКСЦВ сада укључује ово у ЗКСЦВФИКСВИБЕТОКЕН5ЗКСЦВ репо скенирања. Провера чита само ауторизоване датотеке зависности од спремишта, укључујући ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ и ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. Означава ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ закључане верзије или ограничења која се поклапају са погођеним опсегом ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ, а затим пријављује датотеку зависности, број реда, ИД-ове савета, захваћени опсег и фиксну верзију. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ11 Ово је статична репо провера само за читање. Не извршава кориснички код и не шаље корисна оптерећења.

LibreNMS versions up to 24.9.1 contain a critical OS command injection vulnerability (CVE-2024-51092). Authenticated attackers can execute arbitrary commands on the host system, potentially leading to total compromise of the monitoring infrastructure.

CVE-2024-51092GHSA-x645-6pf9-xwxwCWE-78

Impact

LibreNMS versions 24.9.1 and earlier contain a vulnerability that allows authenticated users to perform OS command injection [S2]. Successful exploitation enables the execution of arbitrary commands with the privileges of the web server user [S1]. This can lead to full system compromise, unauthorized access to sensitive monitoring data, and potential lateral movement within the network infrastructure managed by LibreNMS [S2].

Root Cause

The vulnerability is rooted in the improper neutralization of user-supplied input before it is incorporated into an operating system command [S1]. This flaw is classified as CWE-78 [S1]. In affected versions, specific authenticated endpoints fail to adequately validate or sanitize parameters before passing them to system-level execution functions [S2].

Remediation

Users should upgrade their LibreNMS installation to version 24.10.0 or later to resolve this issue [S2]. As a general security best practice, access to the LibreNMS administrative interface should be restricted to trusted network segments using firewalls or access control lists (ACLs) [S1].

How FixVibe tests for it

FixVibe now includes this in GitHub repo scans. The check reads authorized repository dependency files only, including composer.lock and composer.json. It flags librenms/librenms locked versions or constraints that match the affected range <=24.9.1, then reports the dependency file, line number, advisory IDs, affected range, and fixed version.

This is a static, read-only repo check. It does not execute customer code and does not send exploit payloads.